研究人员警告称,威胁行为者正试图利用 Apache Struts 中的漏洞 CVE-2024-53677(CVSS 评分为 9.5)。远程攻击者可以利用此漏洞上传恶意文件,从而可能导致任意代码执行。
Apache 发布的建议中写道:“攻击者可以操纵文件上传参数来实现路径遍历,在某些情况下,这可能导致上传可用于执行远程代码执行的恶意文件。”
该漏洞影响以下软件版本:
-
Struts 2.0.0 至 Struts 2.3.37(EOL)
-
Struts 2.5.0 至 Struts 2.5.33(EOL)
-
Struts 6.0.0 至 Struts 6.3.0.2
SANS Technology 高级研究员 Johannes Ullrich 博士解释说,该漏洞允许攻击者通过文件上传漏洞实现路径遍历和远程代码执行。该专家解释说,问题的根本原因是对另一个被跟踪为CVE-2023-50164 的漏洞的修复不完整。
研究人员还证实,威胁行为者正在积极利用 公开发布的 概念验证(PoC)代码。
https://github.com/TAM-K592/CVE-2024-53677-S2-067
“漏洞 CVE-2024-53677 似乎与 CVE-2023-50164 有关。旧漏洞类似,补丁不完整可能导致新问题。” Ullrich 写道。“PoC 漏洞已经发布(例如,参见[2])。而且,我们看到针对此漏洞的主动利用尝试与 PoC 漏洞代码相匹配。”
建议用户升级到最新版本Struts 6.4.0或更高版本,并使用Action File Upload Interceptor。
原文始发于微信公众号(独眼情报):威胁行为者正利用最近披露的 Apache Struts 漏洞 CVE-2024-53677。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论